NIS 2 : Aggiornamenti sulla Sicurezza Informatica UE
Il 7 agosto 2024 il Consiglio dei Ministri ha esaminato un disegno di legge di attuazione della Direttiva 2022/2555/UE, nota come NIS 2.
Questa Direttiva mira a garantire un livello elevato e uniforme di sicurezza informatica all’interno dell’Unione Europea.
La NIS 2 modifica il Regolamento UE n. 910/2014 e la Direttiva 2018/1972/UE e abroga la precedente Direttiva 2016/1148/UE, con l’obiettivo di rafforzare la sicurezza delle reti e dei sistemi informativi a livello europeo.
Settori Interessati
Il decreto legislativo di recepimento della Direttiva NIS 2 amplia il perimetro delle normative di cybersicurezza, includendo sia enti pubblici che privati operanti in settori strategici. Viene data particolare attenzione alle imprese con oltre 50 dipendenti o un fatturato annuo superiore ai 10 milioni di euro.
I settori interessati spaziano dall’energia ai trasporti, dal bancario alla sanità, includendo anche la gestione dell’acqua potabile e delle acque reflue, le infrastrutture digitali e altri ambiti critici.
Gestione degli incidenti
Per quanto riguarda la gestione degli incidenti informatici significativi, il decreto prevede un processo di notifica articolato in due fasi: una notifica preliminare entro le prime 24 ore e una relazione più dettagliata entro 72 ore dall’evento. Le amministrazioni pubbliche, comprese ASL e comuni con una popolazione superiore ai 100.000 abitanti, sono direttamente coinvolte nella gestione delle risposte agli incidenti.
La normativa continua a distinguere tra soggetti “essenziali” e “importanti”, assegnando obblighi differenziati in base alla loro classificazione. Questi soggetti sono tenuti a implementare misure adeguate per la gestione dei rischi legati alla sicurezza informatica, assicurando la continuità dei servizi attraverso un approccio “multi-rischio” che protegge sia i sistemi informativi che l’ambiente fisico.
Il ruolo dell’ACN
Sanzioni
Le sanzioni per il mancato rispetto delle disposizioni di sicurezza informatica sono particolarmente severe: per i soggetti essenziali, possono raggiungere fino a 10 milioni di euro o il 2% del fatturato annuo globale, mentre per i soggetti importanti, le multe possono arrivare fino a 7 milioni di euro o all’1,4% del fatturato globale. Inoltre, il decreto introduce la possibilità di sospendere temporaneamente i dirigenti che non rispettano le normative.
Leggi anche l'articolo correlato sulla Direttiva NIS 2
Zero Trust Architecture
